클라우드 및 온프레미스 환경을 아우르는 DLP
- 하이브리드 DLP는 AI 도구를 포함하여 온프레미스 및 클라우드 채널 전반에 걸쳐 단일 데이터 정책 세트를 적용합니다.
- 단일 분류 체계가 그 토대가 되며, 이것이 없으면 일관된 DLP 정책을 수립할 수 없습니다.
- 정확한 탐지를 위해 패턴 분석, 정확한 데이터 매칭, 문서 지문 인식, OCR 및 ML 분류기를 결합합니다.
- 모니터링 모드로 시작하여 모든 채널에서 테스트 데이터를 통해 검증한 후, 단계적으로 적용하십시오.
- 생성형 AI는 이제 주요 DLP 경로가 되었으며, 2026년 보안 침해 사례 조사에서는 ‘섀도우 AI’가 흔히 발견되고 있다.
하이브리드 DLP는 온프레미스 시스템과 클라우드 서비스 전반에 걸쳐 민감한 데이터를 일관되게 탐지하고 제어하는 데이터 유출 방지( data loss prevention , DLP) 프로그램입니다. 네트워크, 클라우드, 엔드포인트 각각에 별도의 DLP 제품을 설치하고 각기 다른 규칙을 적용하는 대신, 하이브리드 DLP 프로그램은 데이터 클래스를 한 번만 정의한 후 데이터가 유출될 수 있는 모든 지점에서 이를 적용합니다.
이 기사는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다.
하이브리드 환경에서 DLP가 제대로 작동하지 않는 이유
하이브리드 환경에서 각 채널이 각각 고유한 규칙, 사전, 예외 사항을 가진 서로 다른 제품을 사용할 경우 DLP가 제대로 작동하지 않습니다.
기존의 DLP는 단일 네트워크 내의 이메일 게이트웨이, 웹 프록시, 엔드포인트 에이전트와 같은 경계 환경을 위해 구축되었습니다. 하이브리드 환경에서는 데이터가 다음을 통해 이동합니다:
- 온프레미스 웹 게이트웨이 및 클라우드 웹 게이트웨이
- SaaS 애플리케이션은 인라인 트래픽을 통해서든, 이미 해당 애플리케이션에 저장된 데이터를 통해서든
- ZTNA를 통해 접속한 사설 애플리케이션
- 네트워크 내부 및 외부의 엔드포인트
- 브라우저 세션과 생성형 AI 도구
각 채널마다 서로 다른 제품을 사용하면, 조직 내에서는 서로 다른 용어집, 서로 다른 임계값, 서로 다른 예외 목록이 생겨나게 됩니다. 사무실 프록시에서 차단된 문서가 집에서는 문제없이 업로드될 수도 있습니다.
AI 채널은 이러한 문제를 더욱 시급하게 만들고 있습니다. 버라이즌(Verizon)의 ‘2026년 데이터 유출 조사 보고서’에 따르면, 현재 직원의 45%가 회사 기기에서 정기적으로 AI를 사용하고 있으며, 회사 기기를 통해 AI 서비스에 접속하는 사용자의 67%는 회사 계정이 아닌 개인 계정을 사용하는 것으로 나타났습니다. 또한, DLP 데이터셋에서 ‘섀도우 AI’는 비악의적인 내부자 행위 중 세 번째로 흔한 유형으로 나타났으며, 외부 생성형 AI 도구에 가장 자주 제출되는 데이터 유형은 소스 코드였습니다. OWASP 역시 대규모 언어 모델(LLM) 애플리케이션의 주요 위험 요소 중 하나로 민감한 정보 유출을 꼽고 있다.
다루어야 할 지원 채널
온프레미스 웹 업로드부터 생성형 AI 프롬프트에 이르기까지 8가지 채널 전반에 걸친 DLP 적용 범위를 평가합니다.
| 채널 | 집행이 이루어지는 곳 | 무엇을 관리해야 하는가 |
|---|---|---|
| 웹 업로드 (온프레미스) | DLP 정책이 적용되는 Skyhigh 클라우드로 트래픽을 전달하는 로컬 게이트웨이 | 파일 업로드, 양식 전송, 웹 앱에 붙여넣기 |
| 웹 업로드 (원격) | 클라우드 secure web gateway | 원격 사용자의 경우도 위와 동일합니다. |
| SaaS 인라인 | CASB 프록시 또는 웹 게이트웨이 | 파일 업로드, 공유 활동, 관리되지 않는 기기로의 다운로드 |
| 저장 중인 SaaS | CASB API | 이미 저장되어 외부와 공유된 파일들 |
| 이메일 | 이메일 게이트웨이 또는 SaaS API | 첨부 파일 및 메시지 내용 |
| 비공개 애플리케이션 | 제로 트러스트 액세스는 로컬에서 중개되며, DLP는 클라우드 경로를 통해 적용됩니다. | 내부 앱에서의 다운로드 |
| 엔드포인트 | 엔드포인트 DLP 에이전트 | USB, 인쇄, 로컬 동기화, 클립보드 |
| 브라우저 및 AI 도구 | 브라우저 설정 또는 프록시 | AI 서비스에 대한 프롬프트, 복사하여 붙여넣은 내용, 파일 업로드 |
지원되는 모든 채널에 걸쳐 공통된 분류 체계와 정책 의도를 적용하고, 각 채널의 제어 기능 및 적용 방식을 검증하십시오. 이 채널 목록은 DLP 프로그램을 설명한 것으로, 엔드포인트, 이메일 및 기타 기능은 별도의 제품이나 지원되는 통합 기능이 필요할 수 있습니다.
분류: 데이터를 한 번만 정의하기
각 데이터 클래스를 탐지 방법을 결정하기 전에, 소유자를 지정하여 한 번만 정의하십시오.
일반적인 범주로는 규제 대상 개인 정보, 결제 카드 정보, 건강 정보, 지적 재산권, 소스 코드 및 재무 보고 자료 등이 있습니다.
각 클래스에 적합한 탐지 방법을 사용하십시오:
- 카드 번호, 주민등록번호, 의학 용어 등 광범위한 식별자에 대한 패턴 및 사전.
- 고객 데이터베이스와 같은 구조화된 소스의 지문 기록과 정확한 데이터 매칭(EDM) 을 수행하므로, DLP는 단순히 유사해 보이는 데이터가 아닌 실제 데이터와 정확히 일치하는 데이터를 식별합니다.
- 계약서, 설계도, 이사회 자료 등 특정 문서의 지문을 식별하고, 전체 또는 일부 사본과 일치 여부를 확인하는 색인 문서 매칭(IDM) 기능.
- 광학 문자 인식(OCR) 을 통해 스캔한 신분증이나 스크린샷과 같은 이미지에서 민감한 텍스트를 찾아냅니다.
- 규칙으로는 설명하기 어려운 문서 유형을 위한 기계 학습 분류기.
지문(fingerprint)이 생성되는 위치는 보안 주권 측면에서 중요합니다. 일부 방식은 사용자 환경 내에서 지문을 생성하고 해시값만 DLP 서비스로 전송하므로, 각 공급업체에 지문이 어디에서 생성되는지, 그리고 어떤 정보가 전송되는지 문의해야 합니다.
데이터 탐색 결과는 분류 작업에 반영되어야 합니다. DSPM은 민감한 데이터가 어디에 저장되어 있는지, 그리고 노출 정도가 어느 정도인지를 파악하여, 어떤 분류와 저장소를 우선적으로 처리해야 할지 알려줍니다. ‘DSPM과 SSE가 어떻게 협력하여 데이터 위험을 줄이는지’를 확인해 보세요.
정책 사례
효과적인 DLP 정책은 특정 데이터 범주를 해당 데이터가 유출될 수 있는 경로와 이에 상응하는 조치와 연계합니다.
| 정책 | 데이터 클래스 | 채널 | 액션 |
|---|---|---|---|
| 개인 주소로 발송되는 고객 기록 | 고객 데이터베이스에 대한 EDM 일치 | 웹, SaaS, 이메일, AI 도구 | 차단; 사용자에게 알림 |
| 생성형 AI의 소스 코드 | 소스 코드 분류기 | 브라우저, 웹 게이트웨이 | 승인되지 않은 AI는 차단하고, 승인된 기업용 AI는 로그 기록을 조건으로 허용 |
| 외부로 공유된 이사회 자료 | IDM 지문 | SaaS API, 이메일 | 외부 공유 해제; 소유자에게 알림 |
| 업로드된 카드 데이터 | 유효성 검증이 포함된 결제 카드 패턴 | 웹, SaaS | 차단; PCI 팀 관련 |
| 스캔한 신분증 | OCR 및 신원 확인 패턴 | 웹, SaaS, 엔드포인트 | 승인되지 않은 서비스로의 파일 업로드 차단 |
| 비공개 앱에서 대량 다운로드 | 볼륨 임계값 및 분류 | ZTNA, 엔드포인트 | 사유 입력 필수; 이상 발생 시 경고 |
각 정책은 한 번만 정의하여 모든 관련 채널에 적용해야 하며, 제품별로 새로 구축해서는 안 됩니다.
예외
예외는 불가피하지만, 관리되지 않는 예외가 바로 DLP 프로그램이 실패하는 원인이 되므로, 각 예외를 상세히 기록하십시오:
- 사업주와 그 근거
- 해당 서비스가 적용되는 구체적인 사용자, 목적지 또는 데이터 분류
- 이 규정이 적용되는 채널
- 만료일 또는 검토일
- 로그 기록이나 암호화와 같은 보완적 제어 조치
전체 부서와 같은 광범위한 예외보다는, 특정 데이터 클래스에 대한 특정 파트너 도메인과 같은 좁은 범위의 예외를 우선적으로 고려하십시오.
검증
먼저 분류 테스트를 수행하고, 모니터 모드로 실행하며, 지원되는 모든 채널에서 예상되는 정책 결과가 나타나는지 확인하여 DLP를 검증하십시오.
- 테스트 코퍼스를 구축하십시오. 각 데이터 클래스의 ‘진양성’ 사례와, 일치해서는 안 되는 ‘근접 오류’ 사례, 그리고 이미지 및 대용량 파일을 포함시키십시오.
- 정책을 적용하기 전에 분류 결과를 테스트하십시오. 각 클래스와 채널에 대해 탐지가 제대로 작동하는지 확인하십시오.
- 모니터링 모드로 실행하십시오. 차단하기 전에 실제 트래픽을 대상으로 일치 항목과 오탐을 측정하십시오.
- 데이터 소유자와 함께 오탐을 검토하고, 임계값이나 지문을 조정하십시오.
- 위험도가 가장 높은 등급과 채널부터 시작하여 단계적으로 시행하십시오.
- 지원되는 모든 채널을 테스트하십시오. 사무실 게이트웨이, 원격 액세스, SaaS, 이메일 및 AI 도구를 통해 동일한 테스트 파일을 업로드하고, 구성된 각 경로에서 예상되는 탐지 및 조치 여부를 확인하십시오.
- 분류, 채널 또는 플랫폼 버전이 변경된 후에는 다시 테스트하십시오.
온프레미스 DLP 대 클라우드 DLP
온프레미스 및 클라우드 DLP는 정책의 내용에 차이가 있는 것이 아니라, 콘텐츠가 검사되는 위치와 증거가 저장되는 위치에서 차이가 있습니다.
벤더가 제공하는 온프레미스 DLP는 사용자가 관리하는 인프라에서 데이터를 검사합니다. Skyhigh는 자사 클라우드에서 데이터 보호를 적용하는 반면, 온프레미스 게이트웨이는 웹 및 사내 애플리케이션 정책을 로컬에서 적용합니다. DLP가 필요한 트래픽은 Skyhigh 클라우드로 전달됩니다. 로컬 및 클라우드 DLP를 모두 제공하는 플랫폼의 경우, 검사 위치, 정책 동작 및 지원 채널을 별도로 평가해야 합니다. 전체 콘텐츠 증거가 저장되는 위치는 데이터 자체와 동일한 보관 규칙을 따라야 합니다. ‘하이브리드 클라우드 보안에서의 데이터 주권’을 참조하십시오.
Skyhigh의 하이브리드 DLP 제공 방식
Skyhigh는 공유 분류 체계를 갖춘 하이브리드 DLP와, 온프레미스 및 클라우드 적용 지점에서 발생하는 트래픽을 위한 클라우드 기반 데이터 보호 서비스를 제공합니다.
Skyhigh는 지원되는 웹, SaaS, AI 및 사내 애플리케이션 채널 전반에 걸쳐 공유되는 DLP 분류 체계를 사용합니다. 엔드포인트 및 기타 채널에 대한 지원 범위는 선택한 제품 및 통합 기능에 따라 달라집니다 (Skyhigh Security). Skyhigh Advanced DLP는 EDM, IDM, OCR을 머신러닝 분류 기술과 결합하며, 최대 250MB 크기의 파일 스캔을 지원하고, 머신러닝을 활용해 오탐을 줄입니다(Skyhigh Advanced DLP 데이터 시트). Skyhigh Hybrid SSE Mesh를 통해 온프레미스 게이트웨이는 웹 및 사내 애플리케이션 정책을 로컬에서 적용하고, 관련 트래픽을 Skyhigh 클라우드로 전달하며, 클라우드 측에서도 동일한 DLP 정책이 적용됩니다. 정책은 한 번만 작성하면 사용자가 어디에 있든 적용되며, 에이전트 없는 Secure Browser Controls는 지원되는 브라우저 내의 입력 요청 및 파일 업로드까지 데이터 보호 범위를 확장합니다. Skyhigh는 EDM, IDM 및 ML 자동 분류기를 포함한 모든 DLP 기능이 FedRAMP High 인증을 받았다고 밝혔습니다(Skyhigh Advanced DLP 데이터 시트).
출처
- 버라이즌. 2026년 데이터 유출 조사 보고서. https://www.verizon.com/business/resources/reports/dbir/
- Skyhigh Security. Skyhigh Advanced Data Loss Prevention 데이터 시트. https://www.skyhighsecurity.com/wp-content/uploads/2025/11/ds-data-loss-prevention.pdf
- Skyhigh Security. “Skyhigh Hybrid SSE Mesh를 활용한 시만텍 엣지 Secure Web Gateway 현대화” (2026년 7월 15일). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- OWASP. LLM02:2025 민감 정보 유출. https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/